모질라는 자동화된 공격자가 보안 패치에서 취약점을 역추적할 수 있는 ‘패치 공백’을 줄이기 위해 파이어폭스의 방어 방식을 강화한다. 업데이트 배포 시점을 방어 계층별로 분리하는 새 접근법을 도입할 계획이며, 이를 적용하는 데는 엔지니어링 절차 간 조정이 필요해 시간이 걸릴 수 있다고 밝혔다.
모질라에 따르면 AI 모델은 보안 연구자 수준으로 취약점을 찾을 수 있으며, 파이어폭스 팀은 앤스로픽과 오픈AI의 최첨단 모델을 먼저 이용해 2월부터 버그를 찾아 수정해 왔다. 같은 기간인 2025년과 비교해 보안 수정 사항을 7배 넘게 배포했다는 설명이다.
패치 공백은 보안 수정이 코드에 반영된 뒤 대부분의 사용자에게 배포되기까지의 시간이다. 브라우저 업체는 배포 전 안정성 시험에 최소 며칠을 들이고, 사용자가 새 버전을 즉시 설치하지 않을 수도 있어 이 공백이 생긴다. 공격자는 업데이트를 미리 관찰해 수정 내용을 역공학하고, 패치되지 않은 이전 버전을 공격할 수 있다.
모질라는 GLM 5.3 같은 모델이 더 앞선 모델이 찾아낸 취약점의 수정 사항 일부를 악용할 수 있다는 증거를 봤다고 밝혔다. 회귀 테스트가 공개되지 않은 경우 GLM 5.3의 패치 공백 공격 효과가 크게 떨어지는 점도 관찰해, 해당 테스트를 수정 배포 이후까지 비공개로 두는 관행을 다시 도입했다.
파이어폭스는 올해 초 릴리스 주기를 절반으로 줄여 매주 새 빌드를 배포하고 있으며, 코드에 새로 들어오는 버그를 릴리스 전에 잡기 위해 모든 신규 커밋을 검사하고 있다. 새 방어 방식은 여러 보안 계층에 속한 수정 사항의 패치 공백이 겹치지 않도록 배포 시점을 조정하는 것이다. 파이어폭스 침해에는 일반적으로 렌더러 공격과 샌드박스 탈출을 함께 이용해야 하므로, 공백이 겹치지 않으면 공격자는 필요한 취약점 중 적어도 하나를 새로 찾아야 한다.
모질라는 이 방식을 파이어폭스에 적용할 예정이지만, 변경이 취약점 수정 작업을 늦추지 않도록 신중하게 진행하겠다고 밝혔다. 또한 인터넷을 움직이는 많은 소프트웨어는 파이어폭스와 같은 대비를 하지 못해 새 AI 역량에 더 크게 노출돼 있다고 덧붙였다.
모질라는 파이어폭스와 크롬의 오픈소스 코드가 수정 사항을 살펴보기 쉽게 만들지만, 최신 도구는 바이너리에서도 소스 코드를 역공학할 수 있어 코드 공개를 감추는 것은 공격자를 잠시 늦추는 데 그칠 수 있다고 설명했다. 파이어폭스는 오픈소스 정책을 바꿀 의도가 없다고 밝혔다.
파이어폭스에는 렌더러에 도달하기 전 코드 버그를 격리하는 추가 샌드박스 계층도 있다. 일부 구성요소는 프로세스 수준에서 격리하고, 다른 구성요소에는 프로세스 내부 격리를 적용한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요